MIŠLJENJE NEZAVISNOG ODVJETNIKA
MACIEJA SZPUNARA
od 21. ožujka 2019.(1)
Predmet C‑673/17
Planet49 GmbH
protiv
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
(zahtjev za prethodnu odluku koji je uputio Bundesgerichtshof (Savezni vrhovni sud, Njemačka))
„Zahtjev za prethodnu odluku – Direktiva 95/46/EZ – Direktiva 2002/58/EZ – Uredba (EU) 2016/679 – Obrada osobnih podataka i zaštita privatnosti u području elektroničkih komunikacija – Kolačići – Pojam pristanka ispitanika – Davanje pristanka putem polja s unaprijed upisanom kvačicom”
I. Uvod
1. Kako bi sudjelovali u lutriji koju je organiziralo društvo Planet49, internetski korisnici morali su upisati ili ukloniti kvačicu s dvaju polja za odabir prije nego što bi mogli kliknuti na „poveznicu za sudjelovanje”. Jedno od polja za odabir zahtijevalo je od korisnika da pristanu na to da im razna društva šalju promidžbene ponude, dok je drugo od korisnika zahtijevalo da pristanu na to da im se kolačići instaliraju na računalo. To je, ukratko, činjenični kontekst predmetnog zahtjeva za prethodnu odluku koji je uputio Bundesgerichtshof (Savezni vrhovni sud, Njemačka).
2. U pozadini tih naizgled bezazlenih okolnosti kriju se temeljna pitanja Unijina prava o zaštiti podataka: koji se točno zahtjevi primjenjuju kada je riječ o informiranoj, dobrovoljno danoj privoli? Postoji li razlika s obzirom na to je li riječ (samo) o obradi osobnih podataka ili pak o postavljanju kolačića i pristupu njima? Koji se pravni instrumenti primjenjuju?
3. U ovom ću mišljenju tvrditi da, kada je riječ o predmetnom slučaju, Direktiva 95/46/EZ(2) i Uredba (EU) 2016/679(3) predviđaju jednake zahtjeve u pogledu davanja privole te da je nevažno je li riječ o općem pitanju obrade osobnih podataka ili pak o konkretnom pitanju pohrane podataka i pristupa njima putem kolačića.
II. Pravni okvir
A. Pravo Unije
1. Direktiva 95/46
4. Članak 2. Direktive 95/46, naslovljen „Definicije”, predviđa:
„U smislu ove Direktive:
[…]
(h) ‚suglasnost osobe čiji se podaci obrađuju’ znači svaka dobrovoljno dana, posebna i informirana izjava volje kojom osoba čiji se podaci obrađuju daje svoju suglasnost da se obrade osobni podaci koji se na nju odnose.”
5. U okviru odjeljka II. te direktive, naslovljenog „Mjerila za zakonitost obrade podataka”, članak 7. točka (a) predviđa:
„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
(a) je osoba čiji se podaci obrađuju nedvosmisleno dala svoju suglasnost; ili
[…]”
6. Članak 10. iste direktive, naslovljen „Podaci u slučajevima prikupljanja podataka od osobe čiji se podaci obrađuju”, predviđa sljedeće:
„Države članice propisuju da nadzornik ili njegov zastupnik moraju dati osobi čiji se podaci obrađuju, a od koje se prikupljaju podaci, barem sljedeće podatke, osim u slučaju da ih već ima:
(a) identitet nadzornika i njegova zastupnika, ako ga ima;
(b) svrhu obrade podataka;
(c) bilo koje daljnje podatke kao što su
– primatelji ili vrste primatelja podataka,
– jesu li odgovori na pitanja obvezni ili dobrovoljni te moguće posljedice u slučaju da se ne odgovori na pitanja,
– postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju odnose
ako su takvi daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci prikupljaju, osigurati poštenu obradu u odnosu na osobu čiji se podaci obrađuju.”
2. Direktiva 2002/58/EZ(4)
7. U uvodnim izjavama 24. i 25. Direktive 2002/58/EZ(5) navedeno je sljedeće:
„(24) Terminalna oprema korisnika elektroničkih komunikacijskih mreža te informacije pohranjene na takvoj opremi dio su privatnog područja korisnika koje zahtijeva zaštitu prema Europskoj konvenciji za zaštitu ljudskih prava i temeljnih sloboda. Takozvani špijunski programi (spyware), mrežne greške (web bugs), skriveni identifikatori i druga slična sredstva mogu ući u korisnikov terminal bez njegova znanja s ciljem dobivanja pristupa informacijama, pohranjivanja skrivenih informacija ili ulaženja u trag aktivnostima korisnika, te mogu ozbiljno narušiti privatnost korisnika. Uporaba takvih sredstava treba se dopustiti isključivo u legitimne svrhe, uz znanje dotičnih korisnika.
(25) Međutim, takva sredstva, na primjer takozvani kolačići (cookies), mogu biti legitimno i korisno oruđe, na primjer pri analiziranju učinkovitosti dizajna web stranice i oglašavanja, te prilikom potvrde identiteta korisnika koji su uključeni u on‑line transakcije. Ako su takva sredstva, na primjer kolačići, namijenjena legitimnoj svrsi, poput olakšavanja pružanja usluga informacijskog društva, njihova uporaba treba se dopustiti pod uvjetom da se korisnicima pruži jasna i precizna informacija, u skladu s Direktivom 95/46, o svrsi kolačića ili sličnih sredstava kako bi se osiguralo da korisnici budu svjesni informacija koje se stavljaju na terminalnu opremu kojom se služe. Korisnicima treba biti dana mogućnost odbiti pohranjivanje kolačića ili sličnih sredstava na svoju terminalnu opremu. Ovo je posebno važno ako drugi korisnici, a ne izvorni korisnik, imaju pristup terminalnoj opremi te, samim time, i podacima koji sadržavaju osjetljive privatne informacije pohranjene na takvoj opremi. Informacije o uporabi različitih uređaja koji bi se ugradili na korisnikovu terminalnu opremu, kao i pravo na odbijanje tih uređaja [sredstava], mogu se ponuditi jednom tijekom iste veze te se također odnose na svaku buduću uporabu tih uređaja [sredstava] do koje može doći tijekom naknadnih veza. Metode davanja informacija, pružanja prava na odbijanje ili zahtijevanje pristanka trebaju biti što je više moguće pristupačne. Pristup sadržajima posebnih web stranica još uvijek može ovisiti o dobro obaviještenome prihvaćanju kolačića ili sličnoga sredstva, ako se koristi u legitimne svrhe.”
8. Članak 2. te direktive, naslovljen „Definicije”, u točki (f) predviđa:
„Definicije iz Direktive 95/46 i Direktive 2002/21/EZ Europskog parlamenta i Vijeća od 7. ožujka 2002. o zajedničkom regulatornom okviru za elektroničke komunikacijske mreže i usluge (Okvirna direktiva)[(6)] primjenjuju se osim ako nije drukčije određeno.
Sljedeće definicije se također primjenjuju:
[…]
(f) ‚pristanak’ korisnika ili pretplatnika odgovara podacima o pristanku osobe iz Direktive 95/46;
[…]”
9. Stavak 3. članka 5. te direktive, naslovljenog „Povjerljivost komunikacija”, predviđa:
„Države članice osiguravaju da uporaba elektroničkih komunikacijskih mreža za pohranu informacija ili za pristup informacijama pohranjenima u terminalnoj opremi pretplatnika ili korisnika bude dopuštena samo pod uvjetom da se pretplatniku ili korisniku pruže jasne i sveobuhvatne informacije u skladu s Direktivom 95/46/EZ, između ostalog, o svrsi obrade te ako mu nadzornik podataka ponudi pravo da odbije takvu obradu. Ovo ne sprečava tehničko pohranjivanje ili pristup isključivo u svrhu provođenja ili olakšavanja prijenosa komunikacija preko elektroničke komunikacijske mreže ili ako je strogo nužno kako bi se pružila neka usluga informacijskog društva koju je pretplatnik ili korisnik izričito zatražio.”
3. Direktiva 2009/136/EZ(7)
10. U uvodnoj izjavi 66. Direktive 2009/136/EZ(8) navedeno je:
„Treće stranke mogle bi poželjeti pohraniti podatke na opremi korisnika ili dobiti pristup već sačuvanim podacima, za različite svrhe, koje mogu biti zakonski određene (kao što su primjerice određene vrste kolačića (cookies)), pa sve do onih koje uključuju neodobreni ulaz u privatni prostor (kao što su virusi ili programi spyware). Stoga je od iznimne važnosti da korisnici dobiju jasne i sažete podatke pri svim djelovanjima koja bi za posljedicu mogla imati navedeno neodgovarajuće pohranjivanje ili dobivanje mogućnosti pristupa. Metode pružanja podataka i prava na odbijanje istog trebale bi biti što je moguće jednostavnije za korištenje. Iznimke vezane uz obveze pružanja podataka i prava na odbijanje trebale bi se ograničiti na one okolnosti kada su tehničko pohranjivanje podataka ili pristup izričito neophodni za potrebe omogućavanja korištenja određene usluge koju zatraži pretplatnik ili korisnik u skladu s predmetnim zakonodavstvom. Kada je to tehnički moguće i učinkovito, u skladu s odgovarajućim odredbama Direktive 95/46, pristanak korisnika na obradu mogao bi se izraziti korištenjem odgovarajućih postavki na pregledniku ili drugim aplikacijama. Provedba navedenih zahtjeva trebala bi se učiniti još učinkovitijom dodjeljivanjem većih ovlasti odgovarajućim nadležnim tijelima.”
4. Uredba 2016/679
11. U uvodnoj izjavi 32. Uredbe 2016/679 navedeno je:
„Privola bi se trebala davati jasnom potvrdnom radnjom kojom se izražava dobrovoljan, poseban, informiran i nedvosmislen pristanak ispitanika na obradu osobnih podataka koji se odnose na njega, poput pisane izjave, uključujući elektroničku, ili usmene izjave. To bi moglo obuhvaćati označivanje polja kvačicom pri posjetu internetskim stranicama, biranje tehničkih postavaka usluga informacijskog društva ili drugu izjavu ili ponašanje koje jasno pokazuje u tom kontekstu da ispitanik prihvaća predloženu obradu svojih osobnih podataka. Šutnja, unaprijed kvačicom označeno polje ili manjak aktivnosti stoga se ne bi smjeli smatrati privolom. Privola bi trebala obuhvatiti sve aktivnosti obrade koje se obavljaju u istu svrhu ili svrhe. Kada obrada ima višestruke svrhe, privolu bi trebalo dati za sve njih. Ako se privola ispitanika treba dati nakon zahtjeva upućenog elektroničkim putem, taj zahtjev mora biti jasan, jezgrovit i ne smije nepotrebno ometati upotrebu usluge za koju se upotrebljava.”
12. Točka 11. članka 4. te uredbe, naslovljenog „Definicije”, predviđa:
„Za potrebe ove Uredbe:
[…]
11. ‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;”
13. Članak 6. iste uredbe, naslovljen „Zakonitost obrade”, predviđa:
„1. Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
[…]”
14. Članak 7. Uredbe 2016/679 naslovljen je „Uvjeti privole”. U skladu s njegovim stavkom 4., „[k]ada se procjenjuje je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima se u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora.”
B. Njemačko pravo
1. Njemački Građanski zakonik
15. Članak 307.(9) Bürgerliches Gesetzbucha (njemački Građanski zakonik, u daljnjem tekstu: BGB) predviđa:
„(1) Odredbe općih uvjeta poslovanja ništave su ako, protivno zahtjevu dobre vjere, neopravdano stavljaju u nepovoljan položaj stranku koja je sklopila ugovor s korisnikom. Neopravdano nepovoljan položaj ujedno može biti posljedica nejasne i nerazumljive odredbe.
(2) U slučaju dvojbe, postojanje neopravdano nepovoljnog položaja pretpostavlja se ako odredba
1. nije u skladu s bitnim načelima zakonske odredbe od koje odstupa, ili
2. ograničava bitna prava ili obveze svojstvene naravi ugovora u tolikoj mjeri da ugrožava ostvarenje svrhe ugovora.
(3) Stavci 1. i 2. te članci 308. i 309. primjenjuju se samo na odredbe općih uvjeta poslovanja kojima su dogovoreni aranžmani koji odstupaju od zakonskih odredbi ili aranžmani koji dopunjavaju te zakonske odredbe. Ostale odredbe mogu biti ništave na temelju druge rečenice stavka 1. u vezi s njegovom prvom rečenicom.”
2. Zakon o suzbijanju nepoštenog tržišnog natjecanja
16. Gesetz gegen den unlauteren Wettbewerb (Zakon o suzbijanju nepoštenog tržišnog natjecanja, u daljnjem tekstu: UWG) zabranjuje poslovne prakse koje čine neprihvatljivu smetnju tržišnom subjektu. U skladu s člankom 7. stavkom 2. točkom 2. UWG‑a, postojanje neprihvatljive smetnje uvijek se pretpostavlja u slučajevima telefonskog oglašavanja potrošaču bez njegove izričite prethodne privole ili drugom tržišnom subjektu bez njegove prethodne privole.
3. Zakon o telemedijima
17. Člankom 12. stavkom 1. Telemediengesetza (Zakon o telemedijima, u daljnjem tekstu: TMG) u njemačko je pravo prenesen članak 7. točka (a) Direktive 95/46 te su utvrđeni uvjeti pod kojima davatelj usluge smije prikupljati i koristiti osobne podatke za potrebe elektroničkih medija. Prema tom članku, davatelj usluge ovlašten je prikupljati i koristiti osobne podatke za potrebe elektroničkih medija samo ako mu TMG ili drugi pravni instrument koji izričito uređuje elektroničke medije to dopušta ili ako korisnik za to da privolu.
18. Članak 12. stavak 3. TMG‑a predviđa da se važeći propisi o osobnim podacima moraju primjenjivati čak i ako se podaci ne podvrgavaju automatskoj obradi.
19. Članak 13. stavak 1. TMG‑a obvezuje davatelja usluge da korisnika na početku korištenja usluge obavijesti o naravi, razmjeru i svrsi obrade podataka kao i o obradi podataka koja nadilazi područje primjene Direktive 95/46.
20. Članak 15. stavak 1. TMG‑a predviđa da davatelji usluga osobne podatke mogu prikupljati i koristiti samo ako je to potrebno za korištenje medija na internetu ili za izdavanje računa u vezi s tim korištenjem („korisnički podaci”). Korisnički podaci definirani su, među ostalim, kao podaci koji omogućuju identifikaciju korisnika.
21. Člankom 15. stavkom 3. TMG‑a u njemačko je pravo prenesen članak 5. stavak 3. Direktive 2002/58 te je davatelju usluga dopušteno da za potrebe oglašavanja, analize tržišta ili konfiguracije elektroničkih medija izgradi korisničke profile pod pseudonimima, pod uvjetom da se korisnik tomu ne protivi te da ga je davatelj usluge obavijestio o njegovu pravu na odbijanje, u skladu s obvezom obavještavanja predviđenom u članku 13. stavku 1. TMG‑a.
4. Savezni zakon o zaštiti podataka
22. Člankom 3. stavkom 1. Bundesdatenschutzgesetza (Savezni zakon o zaštiti podataka, u daljnjem tekstu: BDSG)(10) u njemačko je pravo prenesen članak 2. točka (a) Direktive 95/46 te je pojam „osobni podaci” definiran kao podaci koji se odnose na osobne ili činjenične okolnosti fizičke osobe čiji je identitet utvrđen ili se može utvrditi.
23. Člankom 4. točkom (a) BDSG‑a u njemačko je pravo prenesen članak 2. točka (h) Direktive 95/46 te je predviđeno da je privola valjana samo ako su je osobe u pitanju dobrovoljno dale.
III. Činjenično stanje, postupak i prethodna pitanja
24. Dana 24. rujna 2013., društvo Planet49 GmbH održalo je promidžbenu lutriju na internetskoj adresi www.dein‑macbook.de(11). Kako bi sudjelovali u lutriji, internetski korisnici morali su unijeti svoj poštanski broj, nakon čega bi im se otvorila stranica s poljima u koja je korisnik trebao upisati svoje ime i adresu. Ispod polja za upis bila su dva teksta s objašnjenjima, uz koja su se nalazila dva polja za odabir. U nastavku ću ih nazivati „prvo polje za odabir” i „drugo polje za odabir”. U prvom tekstu, u čije prateće polje za odabir nije bila upisana kvačica, bilo je navedeno sljedeće:
„Pristajem na to da mi određeni sponzori i partneri poštom, telefonom ili elektroničkom poštom/SMS‑ovima šalju informacije o ponudama iz svojih komercijalnih sektora. Te sponzore i partnere mogu sam ovdje odrediti; u suprotnom će to učiniti organizator. Tu privolu mogu povući u bilo kojem trenutku. Dodatne informacije o tome mogu se pronaći ovdje.”
25. U drugom tekstu s objašnjenjima, u čije je prateće polje za odabir već bila upisana kvačica, bilo je navedeno sljedeće:
„Pristajem na to da se na mene upotrijebi Remintrex, usluga praćenja korištenja interneta. Posljedica toga je da društvo Planet49 GmbH, organizator lutrije, nakon registracije za lutriju postavlja kolačiće koji mu omogućuju da analizira moje internetske navike i ponašanje na internetskim stranicama oglašivačkih partnera te tako omogućuju Remintrexu postavljanje reklama na temelju korisnikovih interesa. Te kolačiće mogu izbrisati u bilo kojem trenutku. Više o tome možete pročitati ovdje.”
26. Sudjelovanje u lutriji bilo je moguće ako je barem u prvo polje za odabir bila upisana kvačica.
27. Elektronička poveznica na riječima „sponzori i partneri” i „ovdje” u prvom tekstu s objašnjenjima vodila je do popisa koji je sadržavao imena 57 društava, njihove adrese, komercijalni sektor koji će se oglašavati i metode komunikacije koje će se koristiti za oglašavanje (elektronička pošta, pošta ili telefon), kao i podcrtane riječi „Otkaži pretplatu” nakon svakog društva. Popisu je prethodio sljedeći navod:
„Klikom na poveznicu „Otkaži pretplatu” odlučujem da se partneru/sponzoru ne smije dati privola za oglašavanje. Ako nisam otkazao pretplatu u pogledu nijednog ili nedovoljnog broja partnera/sponzora, društvo Planet49 za mene će po svojem izboru odrediti partnere/sponzore (maksimalan broj: 30 partnera/sponzora).”
28. Nakon klika na elektroničku poveznicu na riječi „ovdje” u drugom tekstu s objašnjenjima, pojavile bi se sljedeće informacije:
„Kolačići naziva ceng_cache, ceng_etag, ceng_png i gcr malene su datoteke koje preglednik koji koristite ciljano pohranjuje u Vaš tvrdi disk te putem kojih se prenose određeni podaci koji omogućuju oglašavanje koje je prilagođeno potrebama korisnika i djelotvornije. Kolačići sadržavaju poseban nasumično generiran broj (ID), koji se istovremeno dodjeljuje Vašim registracijskim podacima. Ako nakon toga posjetite internetsku stranicu oglašivačkog partnera koji koristi uslugu Remintrex (ako želite doznati koristi li oglašivački partner tu uslugu, molimo da pročitate njegovu izjavu o zaštiti podataka), Remintrex automatski bilježi, putem iFrame‑a koji je u njemu integriran, da ste Vi (ili korisnik s odnosnim pohranjenim ID‑om) posjetili internetsku stranicu, za koji ste proizvod iskazali interes te jeste li izvršili kakvu poslovnu transakciju.
Nakon toga, društvo Planet49 GmbH može odrediti, na temelju privole za oglašavanje koju ste dali prilikom registracije za lutriju, da Vam se šalju promidžbene poruke elektroničke pošte koje uzimaju u obzir Vaše interese koje ste iskazali na internetskoj stranici oglašivačkog partnera. Naravno, nakon što povučete tu privolu, više neće dobivati promidžbene poruke elektroničke pošte.
Podaci preneseni putem tih kolačića koriste se isključivo za potrebe oglašavanja proizvoda oglašivačkih partnera. Podaci se prikupljaju, pohranjuju i koriste zasebno za svakog oglašivačkog partnera. Korisnički profili za potrebe više oglašivačkih partnera neće se napraviti ni u kojim okolnostima. Pojedinačni oglašivački partneri ne dobivaju nikakve osobne podatke.
Ako više ne želite koristiti kolačiće, u bilo kojem ih trenutku možete izbrisati preko svojeg preglednika. Upute za to možete pronaći u postavkama svojeg preglednika.
Preko kolačića nije moguće pokretati nikakve programe niti prenijeti ikakve viruse.
Naravno, u bilo kojem trenutku možete povući svoju privolu. To možete učiniti slanjem dopisa društvu PLANET49 GmbH [adresa]. Međutim, dovoljno je poslati i poruku elektroničke pošte [adresa elektroničke pošte].”
29. Žalitelj u glavnom postupku, Bundesverband der Verbraucherzentralen (Savez njemačkih organizacija za zaštitu potrošača, u daljnjem tekstu: Bundesverband), naveden je na popisu ovlaštenih subjekata u skladu s Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Zakon o sudskim nalozima u slučaju povreda potrošačkih i drugih propisa, u daljnjem tekstu: UKlaG). Bundesverband navodi da navedene izjave o privoli koje je koristilo društvo Planet49 nisu zadovoljavale zahtjeve utvrđene u članku 307. BGB‑a, članku 7. stavku 2. točki 2. UWG‑a i članku 12. i sljedećim člancima TMG‑a. Pismo opomene poslano prije pokretanja sudskog postupka nije imalo učinka.
30. Bundesverband pokrenuo je postupak pred Landgerichtom Frankfurt am Main (Zemaljski sud u Frankfurtu na Majni, Njemačka) zahtijevajući od društva Planet49 da prestane koristiti navedene izjave(12) te da mu se naloži plaćanje iznosa od 214 eura plus kamate nakupljene od 15. ožujka 2014.
31. Landgericht Frankfurt am Main (Zemaljski sud u Frankfurtu na Majni) neke je zahtjeve prihvatio, dok je ostatak tužbe djelomično odbio. Nakon žalbenog postupka(13) pred Oberlandesgerichtom Frankfurt am Main (Visoki zemaljski sud u Frankfurtu na Majni, Njemačka), Bundesgerichtshofu (Savezni vrhovni sud) podnesena je kasacijska žalba(14).
32. Bundesgerichtshof (Savezni vrhovni sud) smatra da uspjeh kasacijske žalbe ovisi o tumačenju članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 i člankom 6. stavkom 1. točkom (a) Uredbe 2016/679 te je Sudu uputio sljedeća prethodna pitanja:
„1. a) Je li riječ o valjanom pristanku u smislu članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 ako se unaprijed upisanom kvačicom na polju za odabir, koju korisnik mora ukloniti za odbijanje pristanka, dopušta pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi korisnika?
b) Postoji li razlika u primjeni članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 ovisno o tome jesu li pohranjeni podaci ili podaci kojima se pristupilo osobni podaci?
c) Je li u okolnostima navedenima u pitanju 1.a) riječ o valjanoj privoli u smislu članka 6. stavka 1. točke (a) Uredbe (EU) 2016/679?
2. Koje informacije davatelj usluga mora pružiti korisniku kako bi korisnik bio iscrpno i razumljivo obaviješten u skladu s člankom 5. stavkom 3. Direktive 2002/58? Ubrajaju li se u te informacije i trajanje kolačića (cookies) i pitanje imaju li treće strane pristup kolačićima?”
33. Sud je odluku kojom je upućen zahtjev zaprimio 30. studenoga 2017. Pisana očitovanja podnijeli su društvo Planet49, Bundesverband, portugalska i talijanska vlada te Europska komisija. Rasprava je održana 13. studenoga 2018., a prisustvovali su joj društvo Planet49, Bundesverband, njemačka vlada i Komisija.
IV. Ocjena
34. Oba prethodna pitanja koja je uputio Bundesgerichtshof (Savezni vrhovni sud) odnose se na davanje privole za pohranu podataka i pristup podacima koji su već pohranjeni na terminalnoj opremi korisnika, to jest kolačićima, u konkretnom kontekstu odredbi Direktive 2002/58 u vezi s odredbama Direktive 95/46 ili Uredbe 2016/679.
35. Smatram da je kao uvod korisno pojasniti fenomen kolačića i povezanu terminologiju kao i pravno pojasniti pravne instrumente koji su primjenjivi na predmetni slučaj.
A. Uvodne napomene
1. O kolačićima
36. Kolačić je način prikupljanja podataka, a stvara ga internetska stranica te pohranjuje na korisnikov internetski preglednik(15). To je mala datoteka ili tekst, obično manji od jednog kilobajta, čiju pohranu na lokalni tvrdi disk korisnikova računala ili mobilnog uređaja internetska stranica traži od korisnikova internetskog preglednika(16).
37. Kolačić omogućava internetskoj stranici da „zapamti” korisnikove radnje ili afinitete tijekom vremena. Većina internetskih preglednika podržava kolačiće, ali korisnici mogu svoje preglednike postaviti tako da ih odbijaju. Oni ujedno mogu izbrisati kolačiće kada god to požele. U biti, mnogi korisnici preglednicima naređuju da automatski izbrišu kolačiće nakon što se preglednik zatvori. Ipak, empirijski dokazi jasno pokazuju da ljudi rijetko mijenjaju zadane postavke, fenomen koji je nazvan „inercija zadanog stanja” („default intertia”)(17).
38. Internetske stranice koriste kolačiće kako bi identificirale korisnike, zapamtile njihove specifične afinitete te im omogućile obavljanje zadataka bez potrebe ponovnog upisivanja podataka prilikom surfanja od jedne internetske stranice do druge ili kasnijeg posjećivanja istih stranica.
39. Kolačići se ujedno mogu koristiti za prikupljanje podataka za ciljano oglašavanje i reklamiranje utemeljeno na ponašanju korisnika na internetu(18). Društva, primjerice, koriste softver za praćenje ponašanja korisnika i izgradnju osobnih profila, što omogućuje korisnicima da im se prikazuju oglasi sukladni njihovim ranijim pretragama(19).
40. Postoje različite vrste kolačića, neke od kojih se temelje na trajanju kolačića (primjerice, privremeni (session) kolačići i trajni (persistent) kolačići), a druge na domeni kojoj kolačić pripada (primjerice, kolačići internetske stranice koja se posjećuje (first‑party cookies) i kolačići trećih strana (third‑party cookies))(20). Kolačići koje na korisnikovo računalo ili mobilni uređaj pohrani web server koji opslužuje internetsku stranicu poznati su kao kolačići „http header”(21). Drugi način pohrane kolačića jest putem koda JavaScript koji se nalazi na danoj stranici ili na koji se na toj stranici upućuje(22). Međutim, valjanost privole za postavljanje kolačića i primjenjivost eventualnih relevantnih izuzeća treba ocijeniti s obzirom na svrhu kolačića, a ne s obzirom na njegova tehnička obilježja(23).
2. O primjenjivim pravnim instrumentima
41. Pravni okvir primjenjiv na glavni postupak tijekom godina se razvijao, a posljednju fazu tog razvoja činilo je stupanje na snagu Uredbe 2016/679.
42. Na ovaj se predmet primjenjuju dva skupa pravnih instrumenta. Kao prvo, Direktiva 95/46 i Uredba 2016/679. Kao drugo, Direktiva 2002/58, kako je izmijenjena Direktivom 2009/136(24).
43. Iznio bih dva zapažanja u pogledu tih dvaju skupova instrumenata.
44. Prvo zapažanje odnosi se na primjenjivost Direktive 95/46 i Uredbe 2016/679.
45. Uredbom 2016/679, koja se primjenjuje od 25. svibnja 2018.(25), Direktiva 95/46 stavljena je izvan snage, s učinkom od istog datuma(26).
46. Posljednja rasprava pred sudom koji je uputio zahtjev održana je prije toga, 14. srpnja 2017., a ujedno i prije datuma na koji je predmetni zahtjev za prethodnu odluku upućen Sudu, to jest 5. listopada 2017.
47. Dakle, na situacije nastale prije 25. svibnja 2018. primjenjuje se Direktiva 2002/58 u kombinaciji s Direktivom 95/46, dok se za situacije nastale nakon tog datuma primjenjuje Direktiva 2002/58 u kombinaciji s Uredbom 2016/679.
48. U dijelu u kojem Bundesverband traženim sudskim nalogom(27) želi za ubuduće spriječiti sporno ponašanje društva Planet49, na predmetni se slučaj primjenjuje Uredba 2016/679. Bundesgerichtshof (Savezni vrhovni sud) će stoga u svojoj odluci o tom sudskom nalogu morati uzeti u obzir zahtjeve predviđene Uredbom 2016/679. U vezi s time, njemačka vlada upućuje na dosljednu nacionalnu sudsku praksu u pogledu propisa koji se primjenjuju u postupcima za izdavanje sudskih naloga(28).
49. Na prethodno pitanje stoga se mora odgovoriti i s obzirom na Direktivu 95/46 i s obzirom na Uredbu 2016/679(29).
50. Osim toga, treba istaknuti da upućivanja u Direktivi 2002/58 na Direktivu 95/46 treba tumačiti kao upućivanja na Uredbu 2016/679(30).
51. Drugo zapažanje odnosi se na razvoj članka 5. stavka 3. Direktive 2002/58.
52. Direktivom 2002/58 nastoji se osigurati puno poštovanje prava određenih u Povelji Europske unije o temeljnim pravima, a osobito u njezinim člancima 7. i 8.(31). Članak 5. te direktive namijenjen je osiguravanju „povjerljivosti komunikacija”. Osobito, u njegovu stavku 3. uređena je uporaba kolačića te su utvrđeni zahtjevi koji se moraju ispuniti da bi se postavljanjem kolačića podaci mogli pohraniti na korisnikovo računalo te da bi im se moglo pristupiti.
53. Direktivom 2009/136 značajno su promijenjeni zahtjevi u pogledu privole predviđeni člankom 5. stavkom 3. Direktive 2002/58, kako bi se pojačala zaštita potrošača. Prije izmjena uvedenih tom direktivom, članak 5. stavak 3. samo je zahtijevao da se korisnike obavijesti o mogućnosti da odbiju obradu podataka putem kolačića. Drugim riječima, prema izvornoj verziji članka 5. stavka 3., ako je na korisnikovu terminalnu opremu htio pohraniti podatke ili ostvariti pristup podacima koji su na njoj pohranjeni, davatelj usluga morao je korisniku pružiti jasne i sveobuhvatne informacije o, među ostalim, svrsi obrade te mu ponuditi da odbije takvu obradu.
54. Direktiva 2009/136 taj je zahtjev da se korisnika mora obavijestiti o pravu odbijanja obrade zamijenila zahtjevom da je „dotični pretplatnik ili korisnik dao svoj[u privolu]”, što znači da je blaži sustav obavještavanja o mogućnosti odbijanja obrade zamijenjen sustavom u kojem korisnik mora dati izričitu privolu za obradu. Podložno veoma ograničenoj iznimci koja nije primjenjiva u ovom predmetu(32), izmijenjeni članak 5. stavak 3. Direktive 2002/58 uporabu kolačića dopušta samo ako je korisnik dao privolu nakon što je iscrpno i razumljivo, u skladu s Direktivom 95/46, obaviješten o tome zašto se njegovi podaci prate, to jest o namjeni obrade(33).
55. Kako će se detaljnije vidjeti u nastavku, opseg obveze obavještavanja na temelju članka 5. stavka 3. Direktive 2002/58 čini bit predmetnog spora, osobito u kontekstu zadanih postavki za internetske aktivnosti.
B. Prvo pitanje
56. Sud koji je uputio zahtjev svojim prvim pitanjem pita radi li se o valjanoj privoli u smislu članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 ako se unaprijed upisanom kvačicom na polju za odabir dopušta pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi korisnika koju korisnik mora ukloniti za odbijanje privole. U vezi s time, sud koji je uputio zahtjev pita se pravi li ikakvu razliku okolnost da podaci koji su pohranjeni ili im se pristupa čine osobne podatke (pitanje 1.b)). Naposljetku, sud koji je uputio zahtjev želi doznati radi li se u gore opisanim okolnostima o valjanoj privoli u smislu članka 6. stavka 1. točke (a) Uredbe 2016/679 (pitanje 1.c)).
1. O dobrovoljno danoj i informiranoj privoli
57. Pravo Unije o zaštiti podataka počiva na elementu privole.
58. Prije nego što se osvrnem na konkretno pitanje kolačića, htio bih izložiti opća načela u pogledu davanja pristanka koja proizlaze iz primjenjivih pravnih instrumenata.
a) Prema Direktivi 95/46
1) Aktivni pristanak
59. Iz odredbi Direktive 95/46 zaključujem da se pristanak mora izraziti na aktivan(34) način.
60. U članku 2. točki (h) Direktive 95/46 govori se o izjavi volje osobe čiji se podaci obrađuju, što jasno upućuje na aktivno, a ne pasivno ponašanje. Pored toga, točka (a) članka 7. Direktive 95/46, koji se odnosi na mjerila za zakonitost obrade (osobnih) podataka, zahtijeva da je osoba čiji se podaci obrađuju nedvosmisleno dala svoj pristanak. Dvosmislenost je moguće ukloniti samo aktivnim ponašanjem, ne i pasivnim.
61. Iz navedenog zaključujem da u tom pogledu nije dovoljno da korisnikova izjava privole bude unaprijed sastavljena te da korisnik mora aktivno prigovoriti ako se ne slaže s obradom podataka.
62. Naime, u toj se situaciji ne može znati je li takav unaprijed sastavljeni tekst pročitan i pravilno shvaćen. Ona nije nedvosmislena. Moguće je da korisnik nije pročitao tekst. Možda to nije učinio zbog pukog nemara. U takvoj situaciji nije moguće utvrditi je li privola dobrovoljno dana.
2) Zasebna privola
63. Sa zahtjevom aktivne privole usko je povezan zahtjev zasebne privole(35).
64. Moglo bi se tvrditi, kao što čini društvo Planet49, da osoba čiji se podaci obrađuju valjanu privolu ne daje kada ne ukloni kvačicu s unaprijed označenog polja, nego kada aktivno „klikne” na „poveznicu za sudjelovanje” u internetskoj lutriji.
65. Ne slažem se s takvim tumačenjem.
66. Da bi privola bila „dobrovoljno dana” i „informirana”, mora biti ne samo aktivna, nego i zasebna. Aktivnost kojom se korisnik bavi na internetu (čitanje internetske stranice, sudjelovanje u lutriji, gledanje videa itd.) i davanje privole ne mogu biti dio iste radnje. Osobito, iz korisnikove perspektive, davanje privole ne smije se činiti sporednim sudjelovanju u lutriji. Obje se radnje, barem vizualno, moraju ravnopravno predstaviti. Stoga mi se čini dvojbenim da bi skup izraza namjere, među kojima je i davanje privole, bila u skladu s pojmom privole u smislu Direktive 95/46.
3) Obveza potpunog obavještavanja
67. U tom kontekstu, korisniku se mora kristalno jasno dati do znanja ovisi li mogućnost bavljenja nekom aktivnosti na internetu o davanju privole. Korisnik mora biti u mogućnosti ocijeniti u kojoj je mjeri spreman dati svoje podatke kako bi se bavio nekom aktivnosti na internetu. Ne smije postojati apsolutno nikakva nedvosmislenost(36). Korisnik mora znati utječe li davanje privole na mogućnost bavljenja danom aktivnosti na internetu te, ako utječe, u kojoj mjeri.
b) Prema Uredbi 2016/679
68. Gore izložena načela jednako vrijede i za Uredbu 2016/679.
69. Privola ispitanika je u članku 4. točki 11. Uredbe 2016/679 definirana kao svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose.
70. Treba istaknuti da je ta definicija stroža od one u članku 2. točki (h) Direktive 95/46 u smislu da zahtijeva nedvosmisleno izražavanje želja ispitanika te jasnu potvrdnu radnju kojom se daje pristanak za obradu osobnih podataka.
71. Nadalje, uvodne izjave Uredbe 2016/679 osobito su indikativne. Budući da ću uvelike upućivati na uvodne izjave(37), osjećam se dužnim podsjetiti da one, naravno, nemaju nikakvu samostalnu pravnu vrijednost(38), ali da se Sud na njih često oslanja pri tumačenju odredbi Unijinih pravnih akata. One u pravnom poretku imaju opisnu, a ne obvezujuću narav. Pitanje pravne vrijednosti uvodnih izjava obično se ne javlja zbog jednostavnog razloga da su one uglavnom odražene u pravnim odredbama direktive. Dobra zakonodavna praksa političkih institucija Unije nastoji postići situaciju u kojoj uvodne izjave pružaju korisnu pozadinu odredbama pravnog teksta(39).
72. U skladu s uvodnom izjavom 32. Uredbe 2016/679, privola se treba dati jasnom potvrdnom radnjom kojom se izražava dobrovoljan, poseban, informiran i nedvosmislen pristanak ispitanika na obradu osobnih podataka koji se odnose na njega, poput pisane izjave, uključujući elektroničku, ili usmene izjave. To može obuhvaćati označivanje polja kvačicom pri posjetu internetskim stranicama, biranje tehničkih postavaka usluga informacijskog društva ili drugu izjavu ili ponašanje koje jasno pokazuje u tom kontekstu da ispitanik prihvaća predloženu obradu svojih osobnih podataka. Šutnja, unaprijed kvačicom označeno polje ili manjak aktivnosti stoga se ne bi smjeli smatrati privolom.
73. Dakle, aktivna privola sada je izričito propisana Uredbom 2016/679.
74. Osim toga, u skladu s uvodnom izjavom 43. te uredbe, kako bi se osiguralo da je privola dana dobrovoljno, ona ne bi smjela činiti valjanu pravnu osnovu za obradu osobnih podataka u određenom slučaju kada postoji jasna neravnoteža između ispitanika i voditelja obrade, posebno ako je voditelj obrade tijelo javne vlasti i stoga nije vjerojatno da je s obzirom na sve okolnosti te posebne situacije privola dana dobrovoljno. Smatra se da privola nije dana dobrovoljno ako se njome ne omogućuje davanje zasebne privole za različite postupke obrade podataka unatoč tomu što je primjerena pojedinačnom slučaju ili ako izvršenje ugovora, među ostalim i pružanje usluge, ovisi o privoli i ako takva privola nije nužna za takvo izvršenje.
75. Dakle, potreba za zasebnom privolom sada je izričito naglašena u toj uvodnoj izjavi.
c) Prema Direktivi 2002/58 – pitanje kolačića
76. Prema članku 5. stavku 3. Direktive 2002/58, države članice moraju osigurati da je pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi pretplatnika ili korisnika, dozvoljeno samo pod uvjetom da je dotični pretplatnik ili korisnik dao svoju privolu, nakon što je iscrpno i razumljivo, u skladu s Direktivom 95/46, obaviješten, među ostalim, o namjeni postupka obrade.
77. Ta odredba ne predviđa nikakve druge kriterije u pogledu pojma privole.
78. Međutim, uvodne izjave Direktive 2002/58 i Direktive 2009/136 pružaju smjernice u pogledu privole kada su u pitanju kolačići.
79. U uvodnoj izjavi 17. Direktive 2002/58 tako je navedeno da se privola može dati na prikladan način koji omogućuje korisniku da slobodno navede posebne i informirane naznake svojih želja, uključujući označivanjem kvačicom prilikom posjete nekoj stranici na internetu(40).
80. Osim toga, u uvodnoj izjavi 66. Direktive 2009/136 objašnjena je iznimna važnost toga da korisnici dobiju jasne i sveobuhvatne informacije pri svim djelovanjima koja za posljedicu mogu imati pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na opremi korisnika te je navedeno da metode pružanja podataka i prava na odbijanje privole trebaju biti što je moguće jednostavnije za korištenje.
81. U vezi s time ujedno želim istaknuti neobvezujuće, ali ipak korisne zaključke Radne skupine za zaštitu podataka iz članka 29. (u daljnjem tekstu: Radna skupina iz članka 29.)(41), prema kojima privola podrazumijeva prethodnu potvrdnu radnju korisnika u smislu prihvaćanja pohrane i uporabe kolačića(42). Ta ista radna skupina navodi da pojam „izjava” upućuje na potrebu za činjenjem(43). U prilog tom tumačenju idu ostali elementi definicije privole i dodatni zahtjev iz članka 7. točke (a) Direktive 95/46 da privola bude nedvosmislena(44). Zahtjev da osoba čiji se podaci obrađuju mora „dati” svoju privolu upućuje na to da jednostavno nečinjenje nije dovoljno te da je potrebna neka vrsta činjenja da bi se smatralo da je privola dana – mada su u tom pogledu moguće različite vrste radnji, koje treba ocijeniti „s obzirom na kontekst”(45).
2. Primjena na ovaj predmet
82. Sada bih te kriterije htio primijeniti na predmetni slučaj. Pritom ću prvo razmotriti pitanja 1.a) i 1.c), to jest pitanje je li se u predmetnom slučaju radilo o valjanoj privoli u kontekstu postavljanja kolačića i pristupa njima. To se tiče drugog polja za odabir.
83. Nadalje, budući da se, kako je upravo utvrđeno, zahtjevi u pogledu privole ne razlikuju puno ovisno o tome je li riječ o kolačićima ili pak, općenitije, o obradi podataka, radi cjelovitosti i jasnoće, iako sud koji je uputio zahtjev to pitanje ne ističe izričito, smatram da je za potrebe pravilnog i ujednačenog tumačenja prava Unije potrebno ukratko ispitati je li se u kontekstu prvog polja za odabir radilo o valjanoj privoli za obradu osobnih podataka. Uostalom, koliko shvaćam, Bundesgerichtshof (Savezni vrhovni sud) će u postupku koji se pred njim vodi morati odlučiti u pogledu prvog polja za odabir(46).
a) Drugo polje za odabir - pitanja 1.a) i 1.c)
84. Sud koji je uputio zahtjev pita je li riječ o valjanoj privoli u smislu članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 ako se unaprijed upisanom kvačicom na polju za odabir dopušta pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi korisnika koju korisnik mora ukloniti za odbijanje privole.
85. Ključni izrazi u članku 2. točki (h) Direktive 95/46 i članku 4. točki 11. Uredbe 2016/679 za potrebe tog pitanja su „dobrovoljno dana” i „informirana”. Postavlja se pitanje može li se privola, u situaciji kako ju je sud koji je uputio zahtjev opisao, dati dobrovoljno i informirano.
86. Društvo Planet49 smatra da može. Nijedna druga stranka(47) s tim se ne slaže. U tom kontekstu, pravna rasprava između stranaka prije svega je bila usredotočena na to ispunjava li te zahtjeve upisivanje ili micanje kvačice s polja u koje je kvačica već upisana. Rasprava se zapravo vrti oko pitanja aktivnosti i pasivnosti. Međutim, taj aspekt, koliko god da je važan, čini samo dio zahtjevâ. Naime, on pokriva samo zahtjev aktivne privole, ali ne i zahtjev zasebne privole.
87. Prema mojemu mišljenju, na temelju gore utvrđenih kriterija treba odgovoriti da se u predmetnom slučaju nije radilo o valjanoj privoli.
88. Kao prvo, kriterij aktivne privole nije zadovoljen ako korisnik mora izričito ukloniti kvačicu s polja te stoga postati aktivan kada ne pristaje na postavljanje kolačića. U takvoj je situaciji praktički nemoguće objektivno utvrditi je li korisnik svoju privolu dao na temelju dobrovoljno dane i informirane odluke. Nasuprot tomu, ako je korisnik morao upisati u polje kvačicu, puno je vjerojatnije da je, učinivši to, dao takvu privolu.
89. Kao drugo i važnije, sudjelovanje u internetskoj lutriji i davanje privole za postavljanje kolačića ne mogu biti dio iste radnje. A upravo je to bio slučaj u ovom predmetu. Korisnik je samo morao jednom kliknuti, na poveznicu za sudjelovanje, da bi sudjelovao u lutriji. Time bi dao privolu za postavljanje kolačića. Dakle, korisnik je istovremeno izražavao dvije namjere (sudjelovanje u lutriji i privola za postavljanje kolačića). Nije se smjelo omogućiti da se to učini jednim klikom, na poveznicu za sudjelovanje. Pritom se čini da je davanje privole za kolačiće bilo sporedne naravi, u smislu da se nije vršilo zasebnom radnjom. Drugim riječima, micanje/upisivanje kvačice u polju koje se odnosilo na kolačiće djeluje kao pripremna radnja u odnosu na konačni i pravno obvezujući klik na poveznicu za sudjelovanje.
90. U takvoj situaciji korisnik nije u mogućnosti dobrovoljno dati svoju zasebnu privolu za pohranjivanje podataka ili mogućnost pristupanja podacima koji su već pohranjeni na njegovoj terminalnoj opremi.
91. Osim toga, gore je utvrđeno da je sudjelovanje u lutriji bilo moguće samo ako bi se barem prvo polje za odabir označilo kvačicom. Posljedično, sudjelovanje u lutriji nije ovisilo(48) o davanju privole za postavljanje kolačića i mogućnost pristupanja njima. Naime, korisnik je mogao označiti (samo) prvo polje za odabir.
92. Međutim, koliko mi je poznato, korisnik o tome nigdje nije bio obaviješten. To nije u skladu s gore utvrđenim kriterijima u pogledu potpunog obavještavanja korisnika.
93. Ukratko, predlažem da se na pitanja 1.a) i 1.c) odgovori na način da nije riječ o valjanoj privoli u smislu članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 ako se, kao što je bio slučaj u ovom predmetu, unaprijed upisanom kvačicom na polju za odabir dopušta pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi korisnika koju korisnik mora ukloniti za odbijanje privole te ako se privola ne daje zasebno, nego u isto vrijeme kada se potvrđuje sudjelovanje u internetskoj lutriji. Isto vrijedi i za tumačenje članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 4. točkom 11. Uredbe 2016/679.
b) Prvo polje za odabir
94. Iako se pitanja suda koji je uputio zahtjev odnose samo na drugo polje za odabir, htio bih iznijeti dvije napomene u pogledu prvog polja za odabir, koje bi sudu koji je uputio zahtjev mogle pomoći pri donošenju konačne odluke.
95. Da podsjetim, prvo polje za odabir ne odnosi se na kolačiće, nego samo na obradu osobnih podataka. Njegovim označavanjem korisnik ne pristaje na to da se podaci pohrane na njegovu opremu, nego (samo) na to da ga određena poduzeća kontaktiraju poštom, telefonom ili elektroničkom poštom.
96. Kao prvo, kriteriji u pogledu aktivne i zasebne privole i potpunog obavještavanja očito se primjenjuju i na prvo polje za odabir. Pitanje aktivne privole nije problematično, jer kvačica nije unaprijed upisana u to polje. Nasuprot tomu, u pogledu zasebne privole imam određene dvojbe. Na temelju gore izložene analize(49), u činjeničnom kontekstu predmetnog slučaja bilo bi bolje, figurativno govoreći, da je za davanje privole za obradu osobnih podataka postojala zasebna poveznica na koju se moglo kliknuti(50), a ne samo polje u koje je trebalo upisati kvačicu.
97. Kao drugo, u pogledu prvog polja za odabir, čijim je označavanjem korisnik pristajao da ga kontaktiraju sponzori i partneri lutrije, treba se osvrnuti na članak 7. stavak 4. Uredbe 2016/679. U skladu s tom odredbom, kada se procjenjuje je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima se u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora. Dakle, članak 7. stavak 4. Uredbe 2016/679 sada zabranjuje da uvjet izvršenja ugovora bude privola koja za to nije nužna („prohibition on bundling”)(51).
98. Iz dijela „u najvećoj mogućoj mjeri uzima se u obzir” proizlazi da ta zabrana nije apsolutna(52).
99. Na nacionalnom je sudu da ocijeni je li pristanak na obradu osobnih podataka nužan za sudjelovanje u lutriji. U tom pogledu treba imati na umu da pozadinsku svrhu sudjelovanja u lutriji čini „prodaja” osobnih podataka (to jest privola korisnika za to da ga takozvani „sponzori” kontaktiraju promidžbenim ponudama). Drugim riječima, pružanje osobnih podataka čini glavnu obvezu koju korisnik mora ispuniti da bi sudjelovao u lutriji. U takvoj mi se situaciji čini da obrada osobnih podataka jest nužna za sudjelovanje u lutriji(53).
3. O osobnim podacima (pitanje 1.b))
100. Sada bih htio ispitati postoji li razlika u primjeni članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 ako su pohranjeni podaci ili podaci kojima se pristupilo osobni podaci.
101. To je pitanje najbolje sagledati u kontekstu njemačkih propisa kojima je članak 5. stavak 3. Direktive 2002/58(54) prenesen u njemačko pravo. Tim je propisima zapravo određena razlika između prikupljanja i uporabe osobnih podataka, s jedne, i ostalih podataka, s druge strane.
102. U skladu s člankom 12. stavkom 1. TMG‑a, davatelj usluge ovlašten je prikupljati i koristiti osobne podatke za potrebe elektroničkih medija samo ako mu je, među ostalim, korisnik za to dao privolu.
103. Nasuprot tomu, u skladu s člankom 15. stavkom 3. TMG‑a, davatelj usluga može, među ostalim za potrebe oglašavanja i analize tržišta, izgraditi korisničke profile pod pseudonimima, pod uvjetom da se korisnik tomu ne protivi. Dakle, ako se ne koriste nikakvi osobni podaci, njemačko pravo predviđa blaži zahtjev: ne privolu, nego samo neprotivljenje.
104. Osobni podaci u članku 4. točki 1. Uredbe 2016/679 pravno su definirani kao „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca”.
105. Smatram nedvojbenim da, u kontekstu predmetnog slučaja, „podaci” o kojima se govori u članku 5. stavku 3. Direktive 2002/58 čine „osobne podatke”. Čini se da tako misli i sud koji je uputio zahtjev, koji u odluci kojom je uputio taj zahtjev izričito navodi da se na pristupanje podacima putem kolačića koje je tuženik koristio primjenjivao zahtjev u pogledu privole predviđen člankom 12. stavkom 1. TMG‑a, jer su odnosni podaci bili osobni(55). Osim toga, čini se da se sve stranke slažu da se radilo o osobnim podacima.
106. Stoga je moguće propitkivati relevantnost pitanja 1.b) za predmetni slučaj te se pitati je li ono hipotetsko(56).
107. Kako god bilo, smatram da je odgovor na to pitanje poprilično jednostavan: nije važno jesu li pohranjeni podaci ili podaci kojima se pristupilo osobni podaci. Članak 5. odnosi se na „pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima”(57). Jasno je da takvi podaci imaju privatan aspekt, neovisno o tome čine li „osobne podatke” u smislu članka 4. točke 1. Uredbe 2016/679 ili ne. Kako Komisija pravilno ističe, članak 5. stavak 3. Direktive 2002/58 namijenjen je zaštiti korisnika od zadiranja u njegovu privatnost, neovisno o tome odnosi li se to zadiranje na osobne ili pak druge podatke.
108. Osim toga, takvo tumačenje članka 5. stavka 3. Direktive 2002/58 podupiru uvodne izjave 24.(58) i 25.(59) te direktive kao i mišljenja Radne skupine iz članka 29.(60). Naime, ta je radna skupina navela da se „članak 5. stavak 3. primjenjuje na ‚podatke’ (koji su pohranjeni i/ili kojima se pristupilo). Ne predviđa kakvi ti podaci moraju biti. Oni ne moraju biti osobni podaci u smislu Direktive 95/46 da bi se ta odredba primjenjivala”.
109. Posljedično, čini se da člankom 15. stavkom 3. TMG‑a članak 5. stavak 3. Direktive 2002/58 nije potpuno prenesen u njemačko pravo(61).
110. Stoga predlažem da se na pitanje 1.b) odgovori na način da ne postoji razlika u primjeni članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 ako su pohranjeni podaci ili podaci kojima se pristupilo osobni podaci.
C. Drugo pitanje
111. Sud koji je uputio zahtjev drugim pitanjem želi doznati koje informacije davatelj usluga mora pružiti korisniku kako bi korisnik bio iscrpno i razumljivo obaviješten u skladu s člankom 5. stavkom 3. Direktive 2002/58 te ubrajaju li se u te informacije i trajanje kolačića i pitanje imaju li treće strane pristup kolačićima.
1. O iscrpnom i razumljivom obavještavanju
112. Članci 10. i 11. Direktive 95/46 (te članci 13. i 14. Uredbe 2016/679) predviđaju obvezu pružanja informacija ispitanicima. Obveza pružanja informacija povezana je s privolom u smislu da privola nije moguća ako prethodno nisu pružene informacije.
113. S obzirom na konceptualnu sličnost internetskog korisnika (i davatelja internetskih usluga) s potrošačem (i trgovcem)(62), ovdje je moguće poslužiti se pojmom prosječnog europskog potrošača koji je prosječno obaviješten i koji postupa s uobičajenom pažnjom i opreznošću(63) te je u stanju donijeti informiranu odluku o preuzimanju obveze(64).
114. Međutim, zbog tehničke složenosti kolačića, asimetrije u informiranosti između davatelja usluga i korisnika te, općenitije, relativne neupućenosti bilo kojeg prosječnog korisnika interneta, od potonjeg se ne može očekivati da dobro poznaje način na koji kolačići funkcioniraju.
115. Stoga, iscrpno i razumljivo obavještavanje podrazumijeva da korisnik mora biti u stanju lako uvidjeti posljedice privole koju daje. U tu svrhu, on mora biti u mogućnosti ocijeniti učinke svojih radnji. Pružene informacije moraju biti lako razumljive i nedvosmislene te ne smiju biti otvorene tumačenju. Moraju biti dovoljno detaljne da korisniku omoguće da shvati način na koji kolačići u pitanju funkcioniraju.
116. Te se informacije, kako sud koji je uputio zahtjev pravilno navodi, moraju odnositi i na trajanje kolačića i na pitanje imaju li treće strane pristup kolačićima.
2. Informacije o trajanju kolačića
117. U skladu s uvodnim izjavama 23. i 26. Direktive 2002/58, trajanje kolačića jedan je od elemenata zahtjeva u pogledu informirane privole, što znači da davatelji usluga „trebaju uvijek obavještavati pretplatnike o vrstama podataka koje obrađuju te o svrsi i trajanju te obrade”. Čak i ako je kolačić bitan, na pitanje koliko je nametljiv mora se, u kontekstu problematike privole, odgovoriti s obzirom na prateće okolnosti. Osim što moraju ispitati koje podatke svaki kolačić sadržava te je li povezan s ikojim drugim podacima o korisniku, davatelji usluga moraju uzeti u obzir i trajanje kolačića te je li to trajanje prikladno svrsi kolačića.
118. Trajanje kolačića povezano je s izričitim zahtjevima u pogledu informirane privole koji se odnose na kvalitetu informacija i mogućnost korisnika da im pristupe. Te su informacije ključne za to da se pojedincima omogući donošenje informiranih odluka prije obrade(65). Kako su portugalska i talijanska vlada istaknule, s obzirom na to da se podaci koje kolačići prikupljaju moraju izbrisati nakon što više nije potrebno ostvariti izvornu svrhu, korisnika se mora razumljivo obavijestiti o trajanju pohrane prikupljenih podataka.
3. Informacije o pristupu trećih strana
119. Društvo Planet49 u tom pogledu tvrdi da se korisnike mora obavijesti o tome imaju li treće strane pristup kolačiću. Međutim, ako, kao u predmetnom slučaju, pristup kolačiću ima samo davatelj usluge koji želi postaviti kolačić, dovoljno je skrenuti pozornost na tu činjenicu. Nije potrebno zasebno istaknuti da treće strane nemaju pristup. Takva obveza ne bi bila u skladu sa zakonodavnom namjerom da u pogledu zaštite podataka obavijesti budu jednostavne za korisnika i jezgrovite.
120. Ne mogu prihvatiti takvo tumačenje. Umjesto toga, da bi obavještavanje bilo iscrpno i razumljivo, korisnika se izričito mora obavijestiti o tome imaju li treće strane pristup kolačićima ili ne. Ako ga imaju, mora se navesti njihov identitet. Kako Bundesverband pravilno ističe, to je neophodno kako bi se osiguralo to da eventualna privola bude informirana.
4. Ishod
121. Stoga predlažem da se na drugo pitanje odgovori na način da se u informacije koje davatelj usluge mora pružiti korisniku da bi potonji bio iscrpno i razumljivo obaviješten u skladu s člankom 5. stavkom 3. Direktive 2002/58 ubrajaju one o trajanju kolačića te o pitanju imaju li treće strane pristup kolačićima ili ne.
V. Zaključak
122. S obzirom na prethodna razmatranja, predlažem da Sud na sljedeći način odgovori na pitanja koja je uputio Bundesgerichtshof (Savezni vrhovni sud, Njemačka):
1. Nije riječ o valjanom pristanku u smislu članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) u vezi s člankom 2. točkom (h) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka ako se, kao što je bio slučaj u glavnom postupku, unaprijed upisanom kvačicom u polju za odabir koju korisnik mora ukloniti za odbijanje pristanka dopušta pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi korisnika te ako se pristanak ne daje zasebno, nego istodobno s potvrđivanjem sudjelovanja u internetskoj lutriji.
2. Isto vrijedi i za tumačenje članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 4. točkom 11. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46 (Opća uredba o zaštiti podataka).
3. Ne postoji razlika u primjeni članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58 u vezi s člankom 2. točkom (h) Direktive 95/46 ovisno o tome jesu li pohranjeni podaci ili podaci kojima se pristupilo osobni podaci.
4. U jasne i sveobuhvatne informacije koje davatelj usluge mora pružiti korisniku, u skladu s člankom 5. stavkom 3. Direktive 2002/58, ubrajaju se one o trajanju kolačića te o pitanju imaju li treće strane pristup kolačićima ili ne.